2.6. Журналы событий Windows.

В Microsoft Windows событие (event) – это любое происшествие в операционной системе, которое записывается в журнал или требует уведомления пользователей или администраторов. Это может быть служба, которая не хочет запускаться, установка устройства или ошибка в работе приложения. События регистрируются и сохраняются в журналах событий Windows и предоставляют важные хронологические сведения, помогающие вести мониторинг системы, поддерживать ее безопасность, устранять ошибки и выполнять диагностику. 

Необходимо регулярно анализировать информацию, содержащуюся в этих журналах. Вам следует регулярно следить за журналами событий и настраивать операционную систему на сохранение важных системных событий. В том случае, если вы администратор серверов Windows, то необходимо следить за безопасностью их систем, нормальной работой приложений и сервисов, а также проверять сервер на наличие ошибок, способных ухудшить производительность. Если вы пользователь персонального компьютера, то вам следует убедиться в том, что вам доступны соответствующие журналы, необходимые для поддержки своей системы и устранения ошибок. По умолчанию в операционной системе определен перечень событий, которые фиксируются в журналах. Дополнительно степень детализации событий определяется настройками политики аудита.

В соответствии с требованиями ФСТЭК к уровню защиты 2А, к АС предъявляются требования по регистрации и учету запуска/завершения программ и процессов (заданий, задач), поэтому максимальный размер журнала следует установить с запасом, чтобы обнаруживать ошибки или иные системные события, а 7 дней – достаточно для обнаружения нужного системного события.

 Приложение «Просмотр событий» можно открыть следующими способами:

• Нажмите на кнопку «Пуск» для открытия меню, откройте «Панель управления», из списка компонентов панели управления выберите «Администрирование» и из списка административных компонентов стоит выбрать «Просмотр событий»;

• Воспользоваться комбинацией клавиш WIN+R для открытия диалога «Выполнить» (или запустить диалог из меню кнопки «Пуск»). В диалоговом окне «Выполнить», в поле «Открыть» введите eventvwr.msc и нажмите на кнопку «ОК»;

• Откройте «Консоль управления MMC». Для этого нажмите на кнопку «Пуск», в поле поиска введите mmc, а затем нажмите на кнопку «Enter». Откроется пустая консоль MMC. В меню «Консоль» выберите команду «Добавить или удалить оснастку» или воспользуйтесь комбинацией клавиш Ctrl+M. В диалоге «Добавление и удаление оснасток» выберите оснастку «Просмотр событий» и нажмите на кнопку «Добавить». Затем нажмите на кнопку «Готово», а после этого - кнопку «ОК»;

Стандартный набор включает 3 журнала:

Приложение – хранит важные события, связанные с конкретным приложением. Например, почтовый сервер сохраняет события, относящиеся к пересылке почты, в том числе события информационного хранилища, почтовых ящиков и запущенных служб.

Безопасность – хранит события, связанные с безопасностью, такие как вход/выход из системы, использование привилегий и обращение к ресурсам. 

Система – хранит события операционной системы или ее компонентов, например неудачи при запусках служб или инициализации драйверов, общесистемные сообщения и прочие сообщения, относящиеся к системе в целом. 

Желательно почаще просматривать журналы событий «Приложение» и «Система» и изучать существующие проблемы и предупреждения, которые могут предвещать о проблемах в будущем.

Для каждого журнала можно настроить его свойства. Для этого нужно выбрать журнал событий, а затем выбрать команду «Свойства» из меню «Действие» или из контекстного меню выбранного журнала.

В поле «Максимальный размер журнала (КБ)» установите требуемое значение при помощи счетчика или установите вручную без использования счетчика. В этом случае значение будет округлено до ближайшего числа, кратного 64 КБ, так как размер файла журнала должен быть кратен 64 КБ и не может быть меньше 1024 КБ.

События сохраняются в файле журнала, размер которого может увеличиваться только до заданного максимального значения. После достижения файлом максимального размера, обработка поступающих событий будет определяться политикой хранения журналов:

Переписывать события при необходимости (сначала старые файлы) – в этом случае новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое;

Не переписывать события (очистить журнал вручную) – в этом случае журнал очищается вручную, а не автоматически.

В зависимости от версии операционной системы доступны другие политики хранения журнала.

Вывод:

В ходе выполнения данной лабораторной работы была осуществлена настройка локальных политик безопасности, которые представляют собой инструмент управления системными параметрами безопасности через консоль управления. Эта консоль также входит в состав групповой политики.

Параметры политики безопасности являются правилами, устанавливаемыми администраторами на компьютерах и других устройствах для защиты ресурсов в сети или на устройствах. Редактор локальной групповой политики позволяет определять конфигурации безопасности как часть объекта групповой политики (GPO). GPO связывается с контейнерами Active Directory, такими как сайты, домены или организационные подразделения, что позволяет управлять настройками безопасности для нескольких устройств с любого устройства, подключенного к домену. Политики параметров безопасности являются частью общей системы безопасности и используются для обеспечения безопасности контроллеров доменов, серверов, клиентов и других ресурсов в организации.

Параметры безопасности могут управлять:

• Проверка подлинности пользователя в сети или устройстве.

• Ресурсы, доступ к которые разрешены пользователям.

• Запись действий пользователя или группы в журнале событий.

• Членство в группе.

Согласно нормативному документу «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» можно выделить семь классов защищенности средств вычислительной техники (СВТ) от НСД к информации. Самый высокий класс — первый. 

Вторая группа включат АС, в которых пользователи имеют одинаковые полномочия доступа ко всей информации, обрабатываемой и/или хранимой в АС на носителях различного уровня конфиденциальности. Группа содержит два класса – 2Б и 2А.

В данном случае представлен класс защиты 2А, в соответствии с которым и была произведена настройка локальных политик.